[發(fā)明專利]一種基于內(nèi)核的應(yīng)用程序獲取超級權(quán)限行為檢測方法與系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201811066101.3
• 申請日: 2018-09-13
• 公開（公告）號: CN109271781B
• 公開（公告）日: 2020-11-17
• 發(fā)明（設(shè)計）人: 陶敬;王平輝;韓婷;王錚;李佳璇;鄭寧;欒慶鑫;白云鵬;孫立遠;柳哲;林杰
• 申請（專利權(quán)）人: 西安交通大學(xué)
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/57
• 代理公司: 西安智大知識產(chǎn)權(quán)代理事務(wù)所 61215
• 代理人: 段俊濤

1.一種基于內(nèi)核的應(yīng)用程序獲取超級權(quán)限行為檢測方法，其特征在于，包括如下步驟：

1)采集待檢測安卓應(yīng)用程序運行中產(chǎn)生的內(nèi)核系統(tǒng)調(diào)用日志，所述內(nèi)核系統(tǒng)調(diào)用日志是由經(jīng)過特定修改的安卓系統(tǒng)產(chǎn)生的，該待檢測應(yīng)用程序使用的系統(tǒng)調(diào)用記錄包括：系統(tǒng)調(diào)用時間戳、系統(tǒng)調(diào)用的進程UID、系統(tǒng)調(diào)用名、系統(tǒng)調(diào)用參數(shù)、系統(tǒng)調(diào)用返回值，所述特定修改的安卓系統(tǒng)是指修改安卓系統(tǒng)的內(nèi)核，使其能夠監(jiān)控所有系統(tǒng)調(diào)用，并輸出所述的內(nèi)核系統(tǒng)調(diào)用日志；

2)通過內(nèi)核系統(tǒng)調(diào)用日志，判斷系統(tǒng)是否已被獲取超級權(quán)限，如果是則繼續(xù)執(zhí)行，否則結(jié)束分析，所述判斷系統(tǒng)是否已被獲取超級權(quán)限是通過UID檢測或系統(tǒng)目錄檢測實現(xiàn)的：

所述UID檢測指，遍歷日志，若發(fā)現(xiàn)存在UID為0的記錄，則判斷系統(tǒng)已被獲取超級權(quán)限；

所述系統(tǒng)目錄檢測指，遍歷日志，若發(fā)現(xiàn)存在對/system目錄進行寫入操作的記錄，則判斷系統(tǒng)已被獲取超級權(quán)限；

3)將內(nèi)核系統(tǒng)調(diào)用日志與CVE漏洞的特征比對，分析出該安卓應(yīng)用使用的獲取超級權(quán)限方法。

2.根據(jù)權(quán)利要求1所述基于內(nèi)核的應(yīng)用程序獲取超級權(quán)限行為檢測方法，其特征在于，所述步驟3)中，收集公開的CVE漏洞的POC，提取POC特征點，與內(nèi)核系統(tǒng)調(diào)用日志做匹配，如果匹配成功，說明待檢測應(yīng)用程序使用了相應(yīng)CVE作為獲取超級權(quán)限的方法，其中，所述POC特征點指，POC中重復(fù)出現(xiàn)的系統(tǒng)調(diào)用的順序、POC中重復(fù)出現(xiàn)的系統(tǒng)調(diào)用的數(shù)量以及POC中系統(tǒng)調(diào)用使用的特殊參數(shù)中的任意一種或者多種組合。

3.一種基于內(nèi)核的應(yīng)用程序獲取超級權(quán)限行為檢測裝置，其特征在于，包括：

交互接口，用于用戶輸入需要分析的內(nèi)核系統(tǒng)調(diào)用日志，所述內(nèi)核系統(tǒng)調(diào)用日志是由經(jīng)過特定修改的安卓系統(tǒng)產(chǎn)生的，該待檢測應(yīng)用程序使用的系統(tǒng)調(diào)用記錄包括：系統(tǒng)調(diào)用時間戳、系統(tǒng)調(diào)用的進程UID、系統(tǒng)調(diào)用名、系統(tǒng)調(diào)用參數(shù)、系統(tǒng)調(diào)用返回值，所述特定修改的安卓系統(tǒng)是指修改安卓系統(tǒng)的內(nèi)核，使其能夠監(jiān)控所有系統(tǒng)調(diào)用，并輸出所述的內(nèi)核系統(tǒng)調(diào)用日志；

超級權(quán)限判斷單元，用于判斷輸入的內(nèi)核系統(tǒng)調(diào)用日志是否存在獲取超級權(quán)限行為；

CVE檢測單元，用于將內(nèi)核系統(tǒng)調(diào)用日志與從CVE漏洞的POC中提取到的POC特征點比對，輸出日志中使用的CVE方法；

其中所述超級權(quán)限判斷單元包括：

UID檢測模塊，用于檢測日志中是否存在UID為0的記錄；

系統(tǒng)目錄檢測模塊，用于檢測日志中是否存在寫系統(tǒng)目錄行為的記錄

4.根據(jù)權(quán)利要求3所述基于內(nèi)核的應(yīng)用程序獲取超級權(quán)限行為檢測裝置，其特征在于，所述CVE檢測單元包括：

系統(tǒng)調(diào)用順序檢測模塊，用于檢測日志中系統(tǒng)調(diào)用的順序，是否包含CVE特征的順序；

系統(tǒng)調(diào)用數(shù)量統(tǒng)計模塊，用于統(tǒng)計日志中每種系統(tǒng)調(diào)用的數(shù)量，是否與CVE特征中的系統(tǒng)調(diào)用數(shù)量在一個數(shù)量級；

系統(tǒng)調(diào)用參數(shù)檢測模塊，用于檢測日志中系統(tǒng)調(diào)用的參數(shù)，是否使用了CVE特征中的特殊參數(shù)。